Bir Ağın Temel Ölçülerini Çıkarmak

“Trafik yüksek” cümlesi bir karar üretmez. Neye göre yüksek olduğu söylenmedikçe elde yalnız bir sayı vardır.

Temel ölçüler o karşılaştırma zeminini kurar. Bu rehber, zemini pratikte nasıl kuracağınızı anlatır.

Adım 1. Kapsamı Belirleyin

İlk hata, her şeyi ölçmeye çalışmaktır. Ortaya kimsenin bakmadığı yüzlerce grafik çıkar.

Ölçüm noktaları öncelik sırasına konur:

• İnternet sınırı. Giren ve çıkan hacim, protokol dağılımı, hedef dağılımı.
• Sunucu bölümü girişi. Kullanıcı bölümünden gelen trafik ve dışarıya giden bağlantılar.
• Güvenlik duvarı. Oturum tablosu doluluğu, saniyedeki yeni bağlantı, arayüz düşürmeleri.
• Şube hatları. Hat kullanımı ve yedek hatta geçiş kayıtları.

Göstergeler ise dört başlıkta toplanır: hacim, bağlantı, dağılım ve hata.

Adım 2. Kaynakları Açın

Üç kaynak birlikte kullanılır ve üçü farklı çözünürlük verir.

Akış kayıtları yönlendirici ve anahtarlardan toplanır; kim kiminle konuştu sorusunu cevaplar. Örnekleme oranını mutlaka kaydedin. Bu sayı bilinmeden hiçbir akış raporu yorumlanamaz ve altı ay sonra kimse hatırlamaz.

Cihaz sayaçları güvenlik duvarından ve ağ cihazlarından çekilir. Oturum tablosu, CPS ve arayüz sayaçları buradan gelir.

Loglar politika kararlarını ve reddedilen trafiği gösterir.

Üçünün saatlerinin aynı kaynaktan beslendiğini bu aşamada doğrulayın. Sonradan fark edilen bir saat kayması, toplanan verinin bir kısmını kullanılamaz hale getirir.

Adım 3. Yeterli Süre Toplayın

Bir hafta yetmez.

Minimum dört haftadır ve mümkünse bir dönemsel tepeyi kapsamalıdır: ay sonu kapanışı, bordro günü, öğrenci kayıt dönemi ya da sizin kurumunuzda yılın en yoğun haftası her neyse.

Bunun sebebi pratiktir. Taban dönemsel tepeyi içermiyorsa, o tepe geldiğinde sistem onu anomali sayar. Sonuç, gerçek bir saldırı sırasında güvenilmez hale gelmiş bir alarm mekanizmasıdır.

Ölçüm dönemine olağandışı bir olay denk gelirse not edin. Bir kesinti ya da bir saldırı, tabana karışmamalıdır.

Adım 4. Boyutlara Ayırın

Tek bir ortalama gerçek ağı tarif etmez. Sabah dokuzdaki değer ile gece üçteki değer kat kat farklıdır ve ikisi de normaldir.

Taban en az şu kırılımlarla tutulur:

• Saat. Gün içi eğri, yirmi dört saatlik profil olarak.
• Gün. Hafta içi ile hafta sonu ayrı ayrı.
• Servis. Port ya da uygulama bazında dağılım.
• Yön. Giren ve çıkan ayrı; çıkan trafikteki bir artış farklı bir şey anlatır.

Her kırılım için ortalama değil, yüzdelik değerler kaydedilir. Doksan beşinci ve doksan dokuzuncu yüzdelikler, tepe davranışını ortalamadan çok daha iyi tarif eder.

Adım 5. Eşikleri Türetin

Yaygın hata, eşiği ortalamanın bir katı olarak koymaktır. Bu, gün içi dalgalanması yüksek ağlarda sürekli alarm üretir.

Daha sağlam yaklaşım, eşiği o saat dilimine ait yüzdelik değerin üzerine koymaktır. Gece üç için ayrı, öğlen bir için ayrı bir eşik.

Alarm kurarken süreye de bakılmalıdır. Beş dakika süren bir aşım ile otuz saniyelik bir sıçrama farklı olaylardır.

Adım 6. Tazeleme Takvimi Kurun

Ağ değişir. Yeni bir uygulama devreye alındığında, şube açıldığında ya da çalışma düzeni değiştiğinde eski taban yanıltmaya başlar.

Bir kez çıkarılıp dosyaya konan taban, birkaç ay içinde ağın bugününü değil geçmişini tarif eder.

Pratik bir düzen şudur: taban altı ayda bir yenilenir, büyük bir değişiklikten sonra ise beklenmeden yeniden ölçülür. Eski taban silinmez; karşılaştırma için saklanır ve büyümenin ölçüsü olur.

Tabanın Diğer Kullanımları

Anomali tespiti en bilinen kullanımdır, tek kullanım değildir.

Kapasite kararında bugünkü ortalama değil, ölçülmüş tepe yük esas alınır. Katalog rakamı ile kendi tepe yükünüz arasındaki oran, büyüme payının hesaplandığı yerdir.

Kabul testinde üretilecek trafiğin gerçek ağı temsil etmesi tabana bakılarak sağlanır. Trafik karışımı, ortalama paket boyutu ve oturum süresi buradan alınır.

DDoS savunmasında eşiklerin nereye konacağı aynı tabandan çıkar. Bu, yanlış pozitifi azaltmanın en doğrudan yoludur.